Politisch korrekt unterwegs Policy-Enforcement auf Smartphones und PDAs

Ordnungsmerkmale

erschienen in: <kes> 2006^#5, Seite 80

Rubrik: Systeme und ihr Umfeld

Schlagwort: Mobile Security

Zusammenfassung: Neben spezifischen Sicherheitslücken und Risiken muss Policy-Enforcement-Software auf PDAs und Smartphones auch den "Administrator vor Ort" zügeln, um Unternehmensrichtlinien durchzusetzen. Worauf zu achten ist, damit mobile Anwender nicht – bewusst oder unbewusst – die Datensicherheit von Unternehmen gefährden.

Autor: Von Hans-Jürgen Rinser, München

Während Desktops und Notebooks mobiler Mitarbeiter längst zentral administriert und entsprechend den Benutzerrichtlinien und Security Policies der Unternehmen abgesichert werden, bewegt sich ein Großteil der PDAs und Smartphones noch im "benutzerrechtsfreien" Raum. Viele Handhelds wurden zunächst privat angeschafft, dann aber mehr und mehr auch beruflich eingesetzt und sind so zwar für die Kommunikation unternehmensbezogener Daten im Einsatz, finden aber in der Security Policy des Unternehmens oft noch keine besondere Berücksichtigung.

Erschwerend kommt hinzu, dass bisher der Standard bei den mobilen Betriebssystemen fehlt. Windows Mobile, Palm, Symbian und Blackberry liegen jedoch unterschiedliche Architekturen zugrunde, sodass sie jeweils individuelle Sicherungsmechanismen erfordern. Das macht ihre Administration im Unternehmen äußerst aufwändig. Grundsätzlich empfiehlt es sich daher, für eine möglichst homogene Gerätelandschaft zu sorgen. Zudem sollte man die Sicherung auch mobiler Systeme in der Security Policy genau festlegen und mit entsprechender Software umsetzen. Einige problematische Punkte hierbei sollen im Folgenden beleuchtet werden.

Der Anteil von Unternehmen, die mehr als 500 Handhelds (PDAs, Smartphones) im Umlauf haben, ist in den letzten Jahren deutlich gestiegen (Quelle: ubitexx Smartphone- und PDA-Security-Studie 2006)

Schwache Autorisierung

Smartphones und PDAs verfügen über eingebettete Betriebssysteme (Embedded OS), die im Vergleich zu ihren "großen Brüdern" auf Notebooks und PCs viel einfacher strukturiert sind, weil die Leistungsfähigkeit und Speicherkapazität der Handheld-Hardware sie deutlich begrenzt. Dabei stehen sich Funktionalität, Performance und Flexibilität auf der einen Seite und Sicherheit auf der anderen Seite meist diametral gegenüber.

Während "die Großen" leistungsfähige Autorisierungsmechanismen für Benutzerrechte besitzen, ist dies in der mobilen Welt noch kaum zu finden. Windows Mobile 5.0 ermöglicht nun zwar eine teilweise Implementierung von Autorisierungsmechanismen, die zwischen privilegierten und nicht-privilegierten Zugriffen unterscheiden – privilegierte Zugriffe auf Prozesse und Ressourcen des Endgeräts sind dann nur noch durch signierte Anwendungssoftware möglich. Allerdings findet man im Internet schon Hacker-Tools, die diese Sicherheitseinstellungen wieder außer Kraft setzen können.

Für eine sichere Autorisierung reicht das Betriebssystem heute nicht aus. Daher sind am Markt einige Administrations-Tools verfügbar, um Benutzerrechte und Sicherheitseinstellungen der PDAs und Smartphones zu konfigurieren. Doch auch diese Lösungen greifen meist zu kurz, weil sie lediglich die Betriebssystemschnittstellen nutzen, die ein Anwender(-Programm) auch wieder ändern könnte. Denn auf Smartphones und PDAs ist jeder Benutzer immer auch Administrator. Mit dem entsprechenden Wissen kann er (oder ein Programm mit seiner Berechtigung) Konfiguration und Sicherungssoftware jederzeit ändern und aushebeln – ganz gleich, ob es dabei um die Verschlüsselung vertraulicher Daten oder um die Sicherung des Verbindungsaufbaus über Funknetze geht.

Um dies zu verhindern, muss eine Policy-Enforcement-Software einen Systemprozess aufsetzen, der die Applikationsebene wirksam kontrolliert und sicherheitsgefährdende Anwendungen vor der Ausführung stoppt. Anwendungen können über eine Black-/Whitelist spezifiziert und konfiguriert werden. So lässt sich das Zugriffsschema entsprechend der Security Policy anpassen.

Weg ist weg...

Alle wichtigen und häufig auch vertraulichen Informationen, die mobile Mitarbeiter unterwegs benötigen, sind auf den PDAs/Smartphones gespeichert – meist zumindest Kontaktdaten, Termine und Teilnehmer, Anruflisten sowie E-Mail und SMS. Außerdem befinden sich auf den Geräten auch häufig Verbindungsdaten, die für einen legitimierten Eintritt ins Unternehmensnetz (VPN) notwendig sind.

Dass mobile Geräte zumeist mit ihren Besitzern außerhalb der Firmenmauern unterwegs sind, stellt eine besondere Gefährdung für diese vertraulichen Informationen dar. Allein durch Verlust oder Diebstahl können sie leicht in die falschen Hände geraten. Eingebaute Power-on-Passwörter lassen sich mit geeigneten Tools in aller Regel leicht umgehen und bieten keinen vollständigen Schutz. Es empfiehlt sich daher eine zusätzliche Verschlüsselung aller Daten auf dem mobilen Gerät. Hier ist erneut darauf zu achten, dass eine Verschlüsselung sich nicht mit Benutzerrechten wieder deaktivieren lässt.

Insbesondere ist die Registry von Windows Mobile vollständig zugänglich. Microsofts zertigikatbasiertes Sicherheitssystem kann außer Kraft gesetzt werden; entsprechende Hacks hierfür lassen sich leicht im Internet finden. Dann kann die Konfigurationsdatenbank mit dem Remote Registry Editor oder den Registry-Editoren anderer Hersteller leicht geändert werden. Manche Sicherheitslösungen am Markt leiten über die Registry die Passwort-Eingabe auf eigene Routinen um – dies lässt sich ebenfalls mit einem entsprechenden Editor außer Kraft setzen, auch wenn sie eigentlich permanent auf dem Gerät aktiv bleiben sollten.

Um die Informationen der Registry zu sichern, muss sie gegen den direkten Zugriff des Benutzers geschützt werden und darf nur noch für den "echten" Administrator zugänglich sein. Dies lässt sich durch Sicherheitslösungen erreichen, die an sicherheitskritischen Stellen Schreibzugriffe sperren, das Ausführen von Registry-Editoren verhindern und den Import von Registry-Änderungen unterbinden. Darüber hinaus lassen sich unerlaubte Änderungen gegebenenfalls durch Wiedereinspielen einer Komplettkopie der Registry zurücksetzen, sodass diese keine (dauerhaften) Auswirkungen haben.

Malicious Code

Auch PDAs und Smartphones sind prinzipiell von Malicious-Code wie Viren, Würmern und Trojaner gefährdet, der zum Beispiel durch den Download von Software oder Spielen aus dem Internet auf das mobile Endgerät gelangen und installierte Sicherheitsmechanismen stören oder außer Kraft setzen kann. Wegen ihrer begrenzten Prozessorkapazitäten sind zudem auch Denial-of-Service-Attacken relativ leicht: Aktiviert beispielsweise eine infizierte Software so viele Prozesse, dass das Gerät überlastet ist, so werden einzelne Prozesse entsprechend der Priorisierung des Betriebssystems ohne Einwirken des Nutzers geschlossen. Auf diese Weise können nicht nur wichtige Anwendungen auf dem Gerät empfindlich gestört, sondern auch Sicherheitslösungen deaktiviert werden.

Auch Backdoor-Attacken machen vor mobilen Systemen nicht Halt: Beispielsweise verwandelt die Änderung von nur 10 Bytes eines FTP-Server-Programms diese Software in eine Hidden Backdoor, ohne dass der Benutzer jemals davon erfährt. Diese Hintertür gestattet Angreifern ohne Authentifizierung vollen Zugriff auf alle im PDA gespeicherten Dateien.

Eine weitere besondere Gefahrenquelle für Smartphones und PDAs ist ihre Fähigkeit, über verschiedende Funknetze per GSM, GPRS und UMTS oder über Nahbereich-Funktechnik wie Bluetooth oder WLAN Verbindungen zum Unternehmensnetz und zu anderen Endgeräten aufzubauen. Erfolgen Zugriffe über unerwünschte oder ungesicherte Verbindungen, so können Sicherheitslücken für das gesamte Firmennetz entstehen. Die entsprechenden Gegenmaßnahmen sollten daher sowohl das mobile Endgerät selbst als auch alle Verbindungswege und -stationen bis hinter die Firewall des Unternehmens einbeziehen.

Um unkontrollierte Downloads und Malicious Code erfolgreich abzuwehren, klingt es naheliegend, einen Viren-Scanner auf dem Gerät zu installieren. Da dies aber Rechen- und Speicher-Kapazitäten sowie die Akkulaufzeit stark belastet, empfiehlt es sich eher, eine feste VPN-Verbindung zum Unternehmensnetz zu installieren und das direkte Surfen im Internet zu verhindern. So lassen sich alle Content-Security-Mechanismen auf die Sicherheitslösungen im Unternehmensnetz verlagern, wo keine Kapazitätsengpässe oder Update-Rückstände zu befürchten sind. Wichtig ist auch hier, dass diese Verbindungseinstellungen nicht mehr lokal verändert werden können. Denn auch für den Verbindungsaufbau verfügt der kundige Nutzer oder pfiffige Virus im Normalfall über alle Rechte und kann die Voreinstellungen für den geschützten Verbindungsaufbau außer Kraft setzen.

Fazit

Um Smartphones und PDAs mit ihren Daten und Zugangsmöglichkeiten zur Unternehmenskommunikation nachhaltig zu sichern, müssen Benutzerrechte auf den mobilen Geräten nicht nur eingerichtet, sondern unveränderbar gesichert werden. Dies erfordert die Installation einer zusätzlichen sicheren Kernel-Anwendung auf dem Endgerät, welche die Schnittstellen zwischen Applikations- und Systemebene kontrolliert und als Policy-Enforcement-Modul arbeitet. Hier können Zugriffsrechte kontrolliert und das Aufrufen von als kritisch einzustufenden Funktionen oder Applikationen gezielt unterbunden werden. Wichtig ist dabei, dass dieser Prozess immer mit höchster Priorität ausgeführt wird und nicht durch Backdoor-Attacken oder ungewollte Vorkommnisse außer Kraft gesetzt werden kann.

Hans-Jürgen Rinser ist Technischer Leiter bei der ubitexx GmbH ( [externer Link] www.ubitexx.de).